CVE-2020-15249 in October
Сводка
по VulDB • 30.06.2026
October — это бесплатная платформа для управления контентом с открытым исходным кодом, предназначенная для самостоятельного размещения и построенная на базе PHP-фреймворка Laravel. В October CMS начиная с версии 1.0.319 и до версии 1.0.469 включительно пользователям бэкенда, имеющим доступ к загрузке файлов, разрешалось загружать SVG-файлы без какой-либо санитизации (очистки) этих файлов. Поскольку браузеры могут интерпретировать SVG-файлы как HTML, теоретически злоумышленники могли бы загрузить JavaScript-код, который выполнился бы в контексте пути под доменом веб-сайта (например, /storage/app/media/evil.svg). Однако для этого им пришлось бы убедить целевую пользователя напрямую перейти по этому адресу через браузер своей цели, поскольку бэкенд не отображает SVG-файлы встроенным образом ни на одной из страниц; в интерфейсе административной части SVG используются только как ресурсы изображений и, следовательно, не могут быть выполнены. Проблема была исправлена в сборке 469 (v1.0.469) и версии v1.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.